Apple’dan Şok İddia: Eski Çalışan Sıfır Gün Açığıyla Veri Çaldı

Apple, teknoloji sektöründe yankı uyandıran bir dava ile OpenAI’yı hedef aldı. Şirket, eski bir çalışanının görevinden ayrılıp OpenAI’a geçmesinin ardından, kritik öneme sahip Apple veri ihlali gerçekleştirdiğini ve ticari sırları çaldığını iddia ediyor. Bu olay, şirketlerin gizli verilerini koruma çabalarında karşılaştığı zorlukları ve özellikle ayrılan personelin erişim haklarının yönetilmesi konusundaki hassasiyeti çarpıcı bir şekilde ortaya koyuyor. Dava dilekçesinde, bu ihlalin nadir bir kimlik doğrulama açığından kaynaklandığı belirtiliyor.

Apple’ın OpenAI’a Yönelik Ağır İddiaları

Apple’ın Cuma günü yaptığı açıklamalar, teknoloji dünyasında adeta bir bomba etkisi yarattı. Cupertino merkezli şirket, yapay zeka devi OpenAI’a karşı ticari sır hırsızlığı iddiasıyla dava açtı. Apple, OpenAI’ın kendi gizli verilerini ele geçirdiğini ve eski çalışanlarını işe alırken tescilli bilgilere ulaşma çabası içinde olduğunu ileri sürüyor. Dava dilekçesinde belirtilenlere göre, Apple’ın henüz piyasaya sürülmemiş ürünlerine dair sırların çalındığı iddiasının merkezinde, şirketten ayrılarak OpenAI’a geçen bir sistem elektrik mühendisi olan Chang Liu yer alıyor. Liu’nun, Apple’dan ayrıldıktan haftalar sonra, şirketin paylaşılan ağ klasörlerinden çok sayıda hassas dosyayı kendi üzerine geçirdiği öne sürülüyor. Bu durum, şirketlerin fikri mülkiyetlerini koruma konusundaki mücadelesinin ne denli karmaşık olabileceğini gösteriyor.

Dava metninde, Chang Liu’nun, Apple’ın ağına erişim sağlayan “nadir, daha önce bilinmeyen bir kimlik doğrulama hatasını” istismar ettiği ifade ediliyor. Bu hata, sıfır gün güvenlik açığı olarak sınıflandırılıyor; yani Apple’ın iddia edilen istismardan önce bu hatayı düzeltmek için hiçbir zamanı yoktu. Apple, ihlali öğrendikten sonra bu açığı giderdiğini ve söz konusu çalışanın erişimini derhal

Sıfır Gün Açığı: Mekanizma ve İstismar

Söz konusu olaydaki kilit nokta, Chang Liu’nun istismar ettiği iddia edilen kimlik doğrulama hatasıdır. Bir sıfır gün güvenlik açığı, yazılım geliştiricilerinin haberdar olmadığı ve dolayısıyla düzeltmek için fırsat bulamadığı bir güvenlik zafiyetidir. Bu tür açıklar, kötü niyetli aktörler tarafından hızla sömürülebilir ve genellikle ciddi sonuçlar doğurabilir. Apple, dava dilekçesinde bu hatanın spesifik teknik detaylarını tam olarak açıklamamış olsa da, kimlik doğrulama hataları genellikle giriş sürecindeki kusurları ifade eder. Bu tür kusurlar, giriş mekanizmasının zayıflığından veya yanlış yapılandırmadan kaynaklanabilir; örneğin, aşırı geniş izinler veya ayrılan bir çalışanın giriş bilgilerinin tam olarak devre dışı bırakılmaması gibi durumlar.

Liu’nun, Apple’dan ayrıldıktan sonra bile şirket ağ deposuna—Apple’ın gizli mühendislik dosyalarını, proje belgelerini ve diğer tescilli bilgileri içeren bulut tabanlı bir dosya havuzuna—hala erişebildiğini keşfettiği iddia ediliyor. Bu erişimin, o zamanlar bilinmeyen bir kimlik doğrulama zafiyetinin sonucu olduğu belirtiliyor. Dava dilekçesinde, Liu’nun bu yetkisiz erişimi öğrendiğinde, istihdam sözleşmesi yükümlülükleri uyarınca hatayı Apple’a bildirmediği veya kendisine verilen Apple dizüstü bilgisayarını iade etmediği vurgulanıyor. Ayrıca Liu’nun, Apple sistemlerine erişim sağlayan programı da silmediği öne sürülüyor.

Gizli Verilerin Niteliği ve İhlalin Boyutları

Chang Liu’nun yeni bir OpenAI çalışanı olduğu dönemde, haftalar boyunca “düzinelerce Apple’ın gizli donanım ile ilgili dosyasını” aldığı iddia ediliyor. Apple, bu dosyaların “piyasaya sürülmemiş ürünler, mühendislik sunumları, teknik özellikler ve tescilli proje verileri hakkında ayrıntılı bilgiler” içerdiğini belirtiyor. Bu tür veriler, bir teknoloji şirketi için kritik ticari sırlar niteliğindedir ve rakiplerin eline geçmesi, şirketin rekabetçi konumunu ciddi şekilde zayıflatabilir. Henüz piyasaya sürülmemiş ürünler hakkındaki detaylar, şirket stratejileri ve gelecek inovasyonları hakkında değerli bilgiler sunar.

İddialara göre Liu, Apple tarafından kendisine verilen ve daha önce şirketin ağına erişmek için kullandığı iş dizüstü bilgisayarını iade etmedi. Bu durum, bilgisayarın bir zamanlar Apple’ın dahili sistemlerinden dosya gönderip alabildiğini düşündürüyor. Ayrıca Liu’nun, 2026 yılının Şubat ayında, OpenAI’da çalışırken, o sırada hala Apple çalışanı olan Yu-Ting Peng adlı bir tanıdığının erişimini de kötüye kullandığı iddia ediliyor. Liu’nun, Peng’in Apple tarafından verilen iş dizüstü bilgisayarını, Peng hala Apple’da çalışırken ve kendisi çalışmıyorken kullandığı öne sürülüyor. Bu çok katmanlı ihlal iddiası, sadece teknik bir zafiyetin değil, aynı zamanda etik dışı davranışların da bir kombinasyonunu işaret ediyor.

Kurumsal Güvenliğin Kırılgan Noktası

Bu olay, şirketlerin çalışanları ayrıldıktan sonra hassas kurumsal verileri koruma konusunda karşılaştığı zorlukları derinden vurguluyor. Kurumlar genellikle, hassas bilgilerin yanlışlıkla veya kasıtlı olarak sızmasını önlemek için ayrılan personelin erişimini anında ve tamamen keser. Ancak, çalışan hesaplarını tam olarak devre dışı bırakmada başarısız olan şirketler, gelecekte güvenlik açıkları, veri ihlalleri veya eski çalışanlar tarafından kötü niyetli eylemlerle karşı karşıya kalabilirler. Apple’ın bu sıfır gün açığını fark etmemesi ve Liu’nun erişiminin devam etmesi, bu süreçteki potansiyel boşlukları gözler önüne seriyor.

Davanın detayları henüz tam olarak ortaya çıkmasa da, bu vaka, tüm teknoloji şirketleri için önemli bir uyarı niteliğinde. Özellikle yüksek değerli fikri mülkiyete sahip ve yoğun rekabetin yaşandığı sektörlerde, ayrılan çalışanların erişim yönetimi protokollerinin sıkı bir şekilde uygulanması büyük önem taşıyor. Geçiş süreçlerinde yetkilerin doğru bir şekilde iptal edildiğinden emin olmak ve potansiyel güvenlik açıklarını proaktif bir şekilde taramak, benzer olayların önüne geçmek için hayati adımlardır. Bu tür bir olay, sadece teknik zafiyetlerin değil, aynı zamanda insan faktörünün ve güvenliğe yönelik iç tehditlerin de ne kadar belirleyici olabileceğini gösteriyor.